Цифровой двойник как карантин, а не как красивая картинка
Слово занято презентациями с трёхмерными цехами. У нас это модель, которая проверяет намерение и не пропускает опасную команду.
«Цифровой двойник» — выражение, изрядно испорченное презентациями: обычно так называют трёхмерную визуализацию цеха, по которой ничего нельзя проверить.
У нас это модель площадки с ролями и политиками доступа, и её работа — отвечать на вопросы и не пропускать опасное.
Что модель умеет отвечать
Что за устройство стоит по этому адресу и в каком оно месте. Что оно наблюдает. Кто имеет право с ним работать. Что произойдёт, если оно станет недоступно. Какие устройства сидят с ним на одной физической линии и, значит, разделят его судьбу при неисправности.
Последний вопрос — пример того, что визуализация не отвечает, а модель отвечает. Устройства логически независимы, а физически на общей шине связаны, и это свойство описания, а не картинки.
Проверка намерения
Отдельная операция: сказать, что собираешься сделать, и получить ответ, что из этого следует, — не выполняя.
Для выката прошивки это перечень затронутых узлов и того, что они наблюдают. Для команды в оборудование — проверка, разрешена ли она этой ролью для этого устройства в этом режиме.
Смысл в том, что ошибка обнаруживается до исполнения. Большинство инцидентов в таких системах — не злой умысел, а правильное действие над неправильным объектом, и проверка намерения ловит именно это.
Карантин
Опасные живые действия держатся под карантином движка модели. Команда не уходит в оборудование, пока карантин не снят явно.
Ключевое отличие карантина от осторожности: карантин работает без участия человека. Осторожность заканчивается в конце тяжёлой недели.
Снятие карантина — отдельное действие, оставляющее след. Не настройка, которую однажды выставили и забыли, а операция с автором и временем.
Чего модель не делает
Не подменяет реальность. Она описывает намерение и то, что известно; фактическое состояние приходит опросом, и расхождение между ними — предмет работы, а не ошибка модели.
Не рисует то, чего не знает. Если площадка не описана, команда сообщает об этом явно, а не дорисовывает воображаемую схему. Отсутствие источника истины — ошибка, а не повод для тихого заполнения.
Не даёт прогнозов о производстве. Это не имитационная модель технологического процесса; она про инфраструктуру наблюдения, а не про то, сколько деталей выйдет из линии.
Почему честнее называть это иначе
Мы пользуемся этим словом, потому что оно принято, и одновременно понимаем, что оно создаёт ожидание трёхмерной картинки.
Если выбирать точное название, это скорее «проверяемое описание площадки с политиками». Звучит хуже и означает ровно то, что делает.
Что это даёт заказчику
Возможность обсуждать изменения до выезда, прикладывать артефакты к задачам и сравнивать факт с намерением после работ.
И одну менее очевидную вещь: возможность передать площадку другому исполнителю. Знание, лежащее в описании, передаётся; знание, лежащее в настройках конкретной установки и в чьей-то голове, — нет.